Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ColorCursor' = '%PROGRAM_FILES%\ColorCursor\Cursor.exe autostart'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\Energys Service1420141153439375] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nst3.tmp\ns5.tmp' sc description "Energys Service1420141153439375" "Energys Service3420141153439375"
- '%TEMP%\nst3.tmp\ns4.tmp' sc create "Energys Service1420141153439375" displayname= "2420141153439375" binPath= "%PROGRAM_FILES%\ainqngz4.7\energy.exe" start= auto
- '%PROGRAM_FILES%\yyfm0529\201411040534\YFMSever.exe'
- '%PROGRAM_FILES%\ColorCursor\Cursor.exe' installstart
- '%PROGRAM_FILES%\ainqngz4.7\kinetic.exe' /s/s
- '%PROGRAM_FILES%\ainqngz4.7\Ainqngz4.7.exe'
- '%PROGRAM_FILES%\yyfm0529\201411040534\yymusic05.exe' -tuopan
- '<Текущая директория>\1\setup_2948-172458.exe' /setup_2948-172458.exe
- '<Текущая директория>\1\a-zm-172461-v6.exe' /a-zm-172461-v6.exe
- '<Текущая директория>\1\pczh_110_172462.exe' /pczh_110_172462.exe
- '%TEMP%\is-BBOK8.tmp\setup.tmp' /SL5="$300F4,1238587,54272,%TEMP%\setup.exe" /VERYSILENT /SP-
- '%TEMP%\setup.exe' /VERYSILENT /SP-
- '<Текущая директория>\1\xkcc_50091173410.exe' /xkcc_50091173410.exe
Запускает на исполнение:
- '<SYSTEM32>\sc.exe' description "Energys Service1420141153439375" "Energys Service3420141153439375"
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\sc.exe' create "Energys Service1420141153439375" displayname= "2420141153439375" binPath= "%PROGRAM_FILES%\ainqngz4.7\energy.exe" start= auto
Изменения в файловой системе:
Создает следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\№вмЕКу±к\Р¶ФШ№вмЕКу±к.lnk
- %ALLUSERSPROFILE%\Desktop\№вмЕКу±к.lnk
- %PROGRAM_FILES%\ColorCursor\is-5N7S6.tmp
- %ALLUSERSPROFILE%\Start Menu\Programs\№вмЕКу±к\№вмЕКу±к.lnk
- %HOMEPATH%\Templates\420141153439375\YYM_955WD30.gif
- %PROGRAM_FILES%\ainqngz4.7\Ainqngz4.7.exe
- %PROGRAM_FILES%\ColorCursor\unins000.dat
- %TEMP%\nst3.tmp\NSISdl.dll
- %HOMEPATH%\Start Menu\Programs\yyfm0529\ЕдЦГ№¤ѕЯ\Р¶ФШyyfm0529.lnk
- %PROGRAM_FILES%\yyfm0529\201411040534\Data\user2.ini
- %HOMEPATH%\Start Menu\Programs\yyfm0529\yyfm0529.lnk
- %HOMEPATH%\Start Menu\Programs\yyfm0529\№Щ·ЅЦчТі.lnk
- %PROGRAM_FILES%\ColorCursor\is-AOIOG.tmp
- %PROGRAM_FILES%\ColorCursor\is-S1MF8.tmp
- %PROGRAM_FILES%\ColorCursor\is-82VKA.tmp
- %PROGRAM_FILES%\ColorCursor\is-MBPAQ.tmp
- %TEMP%\nst3.tmp\Math.dll
- %TEMP%\nst3.tmp\md5dll.dll
- %TEMP%\nst3.tmp\ns5.tmp
- %HOMEPATH%\Desktop\°®Зй.ЦЗ»Ы.4.7.lnk
- %PROGRAM_FILES%\ColorCursor\DownLoad.ini
- %PROGRAM_FILES%\ColorCursor\Config.ini
- %TEMP%\nst3.tmp\Inetc.dll
- %PROGRAM_FILES%\ColorCursor\Malware.log
- %PROGRAM_FILES%\ainqngz4.7\energy.exe
- %HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.7\Р¶ФШ.lnk
- %PROGRAM_FILES%\ainqngz4.7\uninstall.exe
- %PROGRAM_FILES%\ainqngz4.7\kinetic.exe
- %TEMP%\nst3.tmp\ns4.tmp
- %HOMEPATH%\Start Menu\Programs\°®Зй.ЦЗ»Ы.4.7\°®Зй.ЦЗ»Ы.4.7.lnk
- %TEMP%\nst3.tmp\nsExec.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\avcore.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\avformat-54.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\audio.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\avcodec-54.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\Data\client.ini
- %PROGRAM_FILES%\yyfm0529\201411040534\Data\dh.ini
- %PROGRAM_FILES%\yyfm0529\201411040534\avutil-52.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\channels.xml
- <Текущая директория>\1\setup_2948-172458.exe
- <Текущая директория>\1\xkcc_50091173410.exe
- <Текущая директория>\1\a-zm-172461-v6.exe
- <Текущая директория>\1\pczh_110_172462.exe
- %TEMP%\setup.exe
- %TEMP%\nst3.tmp\System.dll
- %TEMP%\nsi2.tmp
- %TEMP%\nst3.tmp\Base64.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\YFMSever.exe
- %PROGRAM_FILES%\yyfm0529\201411040534\yymusic05.exe
- %PROGRAM_FILES%\yyfm0529\201411040534\SysConfig.ini
- %PROGRAM_FILES%\yyfm0529\201411040534\Unins.exe
- %TEMP%\is-F6R5F.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-F6R5F.tmp\InstallerDLL.dll
- %TEMP%\is-BBOK8.tmp\setup.tmp
- %TEMP%\is-F6R5F.tmp\_isetup\_RegDLL.tmp
- %PROGRAM_FILES%\yyfm0529\201411040534\DuiLib.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\favorfm.xml
- %PROGRAM_FILES%\yyfm0529\201411040534\Data\setup.ini
- %PROGRAM_FILES%\yyfm0529\201411040534\Data\version.ini
- %PROGRAM_FILES%\yyfm0529\201411040534\source.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\swresample-0.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\libav.dll
- %PROGRAM_FILES%\yyfm0529\201411040534\pthreadGC2.dll
Присваивает атрибут 'скрытый' для следующих файлов:
- <Текущая директория>\1\setup_2948-172458.exe
- <Текущая директория>\1\xkcc_50091173410.exe
- <Текущая директория>\1\a-zm-172461-v6.exe
- <Текущая директория>\1\pczh_110_172462.exe
Удаляет следующие файлы:
- %TEMP%\is-BBOK8.tmp\setup.tmp
- %TEMP%\is-F6R5F.tmp\_isetup\_shfoldr.dll
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\nst3.tmp\ns5.tmp
- %TEMP%\nst3.tmp\ns4.tmp
- %TEMP%\is-F6R5F.tmp\_isetup\_RegDLL.tmp
- %TEMP%\is-F6R5F.tmp\InstallerDLL.dll
Перемещает следующие файлы:
- %PROGRAM_FILES%\ColorCursor\is-S1MF8.tmp в %PROGRAM_FILES%\ColorCursor\Malware.dll
- %PROGRAM_FILES%\ColorCursor\is-5N7S6.tmp в %PROGRAM_FILES%\ColorCursor\UpdateFile.exe
- %PROGRAM_FILES%\ColorCursor\is-AOIOG.tmp в %PROGRAM_FILES%\ColorCursor\InstallerDLL.dll
- %PROGRAM_FILES%\ColorCursor\is-82VKA.tmp в %PROGRAM_FILES%\ColorCursor\unins000.exe
- %PROGRAM_FILES%\ColorCursor\is-MBPAQ.tmp в %PROGRAM_FILES%\ColorCursor\Cursor.exe
Сетевая активность:
Подключается к:
- 'in#.###ol.sina.com.cn':80
- 'to####.aiqingzhihui.com':80
- 'tv.###ingzhihui.com':80
- 'cu#####x.shuafenba.com':80
- 'localhost':1063
- 'co#####rsor.ahdzw.com':80
- 'localhost':1053
- 'AP#.#UPIAN8.CN':80
- 'www.yy#8.pw':80
- 'localhost':1038
- 'up####.yinyue.fm':80
- 'up####.aiqingzhihui.com':80
- 'ji####.shuafenba.com':80
TCP:
Запросы HTTP GET:
- in#.###ol.sina.com.cn/iplookup/iplookup.php
- to####.aiqingzhihui.com/tjapi.php?ma#########################################################################################################################################################################
- cu#####x.shuafenba.com/LoadIndex.aspx
- co#####rsor.ahdzw.com/Config_50091173410.ini
- ji####.shuafenba.com/anzhuang.aspx?OU##########################################################################################################################################################################
- www.yy#8.pw/
- tv.###ingzhihui.com/zhibo2.html?id#####################################
- up####.aiqingzhihui.com/0403/help1.html
UDP:
- DNS ASK to####.aiqingzhihui.com
- DNS ASK tv.###ingzhihui.com
- DNS ASK in#.###ol.sina.com.cn
- DNS ASK cu#####x.shuafenba.com
- DNS ASK co#####rsor.ahdzw.com
- DNS ASK AP#.#UPIAN8.CN
- DNS ASK www.yy#8.pw
- DNS ASK ji####.shuafenba.com
- DNS ASK up####.yinyue.fm
- DNS ASK up####.aiqingzhihui.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: '' WindowName: ''
